(57)【要約】【課題】  IEEE802.11i標準に準拠する無線LANでIEEE802.1Q標準のVLANを実現することを課題とする。【解決手段】  マルチキャスト用の宛先MACアドレスに、VLAN IDの値を付加したプライベートなMACアドレスを宛先MACアドレスとしてIEEE802.11i標準を適用する。【選択図】  図３
2006101037.tif 000002
【特許請求の範囲】
【請求項１】
１つのネットワークに複数の仮想ネットワークが構築可能な第１のネットワークから、仮想ネットワークを持たない第２のネットワークへマルチキャストパケットを転送する通信装置であって、
前記第１のネットワークから転送すべきマルチキャストパケットを受信する受信手段と、
前記受信手段が受信したパケットの宛先アドレスを、該パケットに含まれる仮想ネットワークの識別情報を用いて、該宛先アドレスとは別の新たな宛先アドレスに変換する変換手段と、
前記変換手段により変換したマルチキャストパケットの内容について、前記仮想ネットワークの識別情報に応じたそれぞれ異なる暗号化を施す暗号手段と、
前記暗号手段により暗号化したマルチキャストパケットを第２のネットワーク上にマルチキャストする送信手段と
を備えたことを特徴とする通信装置。
【請求項２】
前記変換手段による変換後の宛先アドレスと、前記暗号化の種別と、前記暗号化のための暗号鍵情報とを対応付けて記憶する記憶手段をさらに備え、
前記暗号手段は、前記変換手段による変換後の宛先アドレスに対応付けて前記記憶手段に記憶された暗号化の種別と暗号鍵情報とに基づいて暗号化を施す
ことを特徴とする請求項１に記載の通信装置。
【請求項３】
前記受信手段が受信したパケットの宛先アドレスと、該パケットに含まれる仮想ネットワークの識別情報と、前記暗号化の種別と、前記暗号化のための暗号鍵情報とを対応付けて記憶する記憶手段をさらに備え、
前記暗号手段は、前記受信したパケットの宛先アドレスと該パケットに含まれる仮想ネットワークの識別情報の組に対応付けて前記記憶手段に記憶された暗号化の種別と暗号鍵情報とに基づいて暗号化を施す
ことを特徴とする請求項１に記載の通信装置。
【請求項４】
前記第２のネットワーク上に存在する通信装置から、該第２のネットワーク上にパケットをマルチキャストする際の宛先範囲に対応するマルチキャストグループのいずれかに参加する旨の要求を受けたときに、該要求を受け付ける参加要求受付手段をさらに備え、
前記参加要求受付手段は前記要求を受け付けると共に、該マルチキャストグループに対応する宛先アドレスに対応付けて前記記憶手段に記憶された暗号化の種別と暗号鍵情報を交換する
ことを特徴とする請求項３または４に記載の通信装置。
【請求項５】
前記第１のネットワークはIEEE802.3標準に準拠したネットワークであり、前記仮想ネットワークはIEEE802.1Q標準に規定されたVLANにより実現される仮想ネットワークであり、
前記第２のネットワークはIEEE802.11標準に準拠したネットワークであり、前記暗号化はIEEE802.11i標準に基づいた暗号化を施すものであり、
前記宛先アドレスはMACアドレスである
ことを特徴とする請求項１乃至４のいずれかに記載の通信装置。
【請求項６】
１つのネットワークに複数の仮想ネットワークが構築可能な第１のネットワークと、
第１のネットワークに接続された第１の通信装置と、
仮想ネットワークを持たない第２のネットワークと、
第２のネットワークに接続された第２の通信装置と、
第１の通信装置から送信されたマルチキャストパケットを第２の通信装置を含む第２のネットワーク上の通信装置に転送する、第１、第２のネットワークに接続された第３の通信装置と
を備えた通信システムであって、
前記第１の通信装置は、第１のネットワークに構築されたある仮想ネットワークを通じて、該仮想ネットワークの識別情報を含むマルチキャストパケットを送信する送信手段を備え、
前記第３の通信装置は、
前記第１のネットワークから転送すべきマルチキャストパケットを受信する受信手段と、
前記受信手段が受信したパケットの宛先アドレスを、該パケットに含まれる仮想ネットワークの識別情報を用いて、該宛先アドレスとは別の新たな宛先アドレスに変換する変換手段と、
前記変換手段により変換したマルチキャストパケットの内容について、前記仮想ネットワークの識別情報に応じたそれぞれ異なる暗号化を施す暗号手段と、
前記暗号手段により暗号化したマルチキャストパケットを、前記第２の通信装置を含む第２のネットワーク上に接続された通信装置に対しマルチキャストする送信手段と
を備えたことを特徴とする通信システム。
【請求項７】
前記第１のネットワークはIEEE802.3標準に準拠したネットワークであり、前記仮想ネットワークはIEEE802.1Q標準に規定されたVLANにより実現される仮想ネットワークであり、
前記第２のネットワークはIEEE802.11標準に準拠したネットワークであり、前記暗号化はIEEE802.11i標準に基づいた暗号化を施すものであり、
前記宛先アドレスはMACアドレスである
ことを特徴とする請求項６に記載の通信システム。
【請求項８】
１つのネットワークに複数の仮想ネットワークが構築可能な第１のネットワークから、仮想ネットワークを持たない第２のネットワークへマルチキャストパケットを転送するための通信方法であって、
前記第１のネットワーク上の通信装置から転送すべきマルチキャストパケットを受信し、
前記受信したパケットの宛先アドレスを、該パケットに含まれる仮想ネットワークの識別情報を用いて、該宛先アドレスとは別の新たな宛先アドレスに変換し、
前記変換したマルチキャストパケットの内容について、前記仮想ネットワークの識別情報に応じたそれぞれ異なる暗号化を施し、
前記暗号化したマルチキャストパケットを第２のネットワーク上にマルチキャストする
ことを特徴とする通信方法。
【請求項９】
前記第１のネットワークはIEEE802.3標準に準拠したネットワークであり、前記仮想ネットワークはIEEE802.1Q標準に規定されたVLANにより実現される仮想ネットワークであり、
前記第２のネットワークはIEEE802.11標準に準拠したネットワークであり、前記暗号化はIEEE802.11i標準に基づいた暗号化を施すものであり、
前記宛先アドレスはMACアドレスである
ことを特徴とする請求項８に記載の通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、IEEE802.11規格に準拠した無線通信システムに関し、特に仮想LANを実現するための無線通信装置、無線通信システム及び無線通信方法に関する。
【背景技術】
【０００２】
通信するために使用されるIEEE(Institute of Electronic and Electronics Engineers：米国電気電子技術協会)が制定した、有線LANを通信媒体とするIEEE802.3標準、及び無線を通信媒体とするIEEE802.11標準とが知られている。IEEE802.3規格は、一般にはEthernet（登録商標）と呼ばれ、ケーブルで接続された通信装置間でEtherフレームと呼ばれる６０バイト〜１５１４バイトのパケットをやり取りするものである。一方、IEEE802.11標準は使用する周波数と通信速度の違いによりa/b/gといくつかの種類が存在し、通信媒体に無線を用いて通信装置間で通信する規格となっている。
【０００３】
IEEEが勧告する別の規格としてVLAN(Virtual LAN：仮想LAN)の仕様を定義したIEEE802.1Q標準が存在する。VLANとは、一つのネットワークの中に複数の仮想的なネットワークを構築できる技術である。そしてIEEE802.1Q標準はIEEE802.3標準や無線LANの規格であるIEEE802.11標準と共に使用することができるようになっている。さらにIEEE802.11i標準と呼ばれる規格も勧告されており、この規格はIEEE802.11標準に準拠した通信装置における通信データの暗号化によるセキュリティ機構の仕様を定義したものである。
【０００４】
しかしながら、IEEE802.11i標準の規定ではイーサフレームの宛先MAC(Media Access Control)アドレスをもとにセキュリティ用パラメータを選択するようになっていることから、IEEE802.1Q標準に規定されたVLANにおける仮想的なLAN間のセキュリティが実現できない。たとえばVLANされた一つの仮想LANにマルチキャスト／ブロードキャストが行われると、その宛先MACアドレスを受信できる通信装置は他の仮想LANのパケットも受信可能になる。仮に仮想LANごとにそれぞれに属する通信装置同士が別々の暗号鍵を共有すれば、他の仮想LANに属する通信装置で読めなくなるものの、その通信装置にとっては何らかのエラーなのか第三者からの攻撃なのかが見分けられない。
【０００５】
このような理由から無線LANを通信媒体とするIEEE802.11i標準に準拠する通信装置はIEEE802.1Q標準に規定するVLANを満足することができず、仮に満足しようとすれば既存の通信装置や上記標準の手直しが発生してしまうという問題がある。
【０００６】
特許文献１では、マルチキャストの通信である場合には新たにセッション情報を生成することでマルチキャストグループ間のセキュリティを確保する方法が開示されている。
【特許文献１】特開２００４−２００８１２公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明は、上記問題に鑑みて成されたものであり、IEEE802.11i標準に準拠する無線LANでIEEE802.1Q標準のVLANを実現することを課題とする。
【課題を解決するための手段】
【０００８】
本発明に係る通信装置とすれば、
１つのネットワークに複数の仮想ネットワークが構築可能な第１のネットワークから、仮想ネットワークを持たない第２のネットワークへマルチキャストパケットを転送する通信装置であって、前記第１のネットワークから転送すべきマルチキャストパケットを受信する受信手段と、前記受信手段が受信したパケットの宛先アドレスを、該パケットに含まれる仮想ネットワークの識別情報を用いて、該宛先アドレスとは別の新たな宛先アドレスに変換する変換手段と、前記変換手段により変換したマルチキャストパケットの内容について、前記仮想ネットワークの識別情報に応じたそれぞれ異なる暗号化を施す暗号手段と、前記暗号手段により暗号化したマルチキャストパケットを第２のネットワーク上にマルチキャストする送信手段とを備えたことを特徴とする通信装置が提供される。
【０００９】
また本発明に係る通信システムとすれば、
１つのネットワークに複数の仮想ネットワークが構築可能な第１のネットワークと、第１のネットワークに接続された第１の通信装置と、仮想ネットワークを持たない第２のネットワークと、第２のネットワークに接続された第２の通信装置と、第１の通信装置から送信されたマルチキャストパケットを第２の通信装置を含む第２のネットワーク上の通信装置に転送する、第１、第２のネットワークに接続された第３の通信装置とを備えた通信システムであって、前記第１の通信装置は、第１のネットワークに構築されたある仮想ネットワークを通じて、該仮想ネットワークの識別情報を含むマルチキャストパケットを送信する送信手段を備え、前記第３の通信装置は、前記第１のネットワークから転送すべきマルチキャストパケットを受信する受信手段と、前記受信手段が受信したパケットの宛先アドレスを、該パケットに含まれる仮想ネットワークの識別情報を用いて、該宛先アドレスとは別の新たな宛先アドレスに変換する変換手段と、前記変換手段により変換したマルチキャストパケットの内容について、前記仮想ネットワークの識別情報に応じたそれぞれ異なる暗号化を施す暗号手段と、前記暗号手段により暗号化したマルチキャストパケットを、前記第２の通信装置を含む第２のネットワーク上に接続された通信装置に対しマルチキャストする送信手段とを備えたことを特徴とする通信システムが提供される。
【００１０】
さらに本発明に係る通信方法とすれば、
１つのネットワークに複数の仮想ネットワークが構築可能な第１のネットワークから、仮想ネットワークを持たない第２のネットワークへマルチキャストパケットを転送するための通信方法であって、前記第１のネットワーク上の通信装置から転送すべきマルチキャストパケットを受信し、前記受信したパケットの宛先アドレスを、該パケットに含まれる仮想ネットワークの識別情報を用いて、該宛先アドレスとは別の新たな宛先アドレスに変換し、前記変換したマルチキャストパケットの内容について、前記仮想ネットワークの識別情報に応じたそれぞれ異なる暗号化を施し、前記暗号化したマルチキャストパケットを第２のネットワーク上にマルチキャストすることを特徴とする通信方法が提供される。
【発明の効果】
【００１１】
本発明の効果として、IEEE802.11i標準に準拠する無線LANでIEEE802.1Q標準の仮想LAN（VLAN）を実現することができる。
【発明を実施するための最良の形態】
【００１２】
本発明の実施形態の例について図面を示しながら説明する。
【００１３】
図１は本実施形態における仮想LAN通信システムの一例を示す図である。図１ではネットワーク１０１、ホスト１０２、ホスト１０３、PC１０４、PC１０５、PC１０６及びアクセスポイント１０７が示されている。
【００１４】
ネットワーク１０１は、有線LANによる構成されたネットワークであり、IEEE802.3標準に準拠したネットワークである。
【００１５】
ホスト１０２は、IEEE802.1Q標準及びIEEE802.3標準に準拠するネットワーク接続インタフェースを備えるサーバである。ネットワーク１０１を介してアクセスポイント１０７及びPC１０４、PC１０５と通信することができる。そしてIEEE802.1Q標準に規定されたVLAN機能による１つの仮想LAN（VLAN1）に属している。
【００１６】
ホスト１０３は、ホスト１０２と同様の構成を備えたサーバである。ネットワーク１０１を介してアクセスポイント１０７及びPC１０６と通信することができる。そしてホスト１０１とは異なるもう１つの仮想LAN(VLAN2)に属している。
【００１７】
PC１０４、PC１０５は携帯型PCであり、IEEE802.11標準に準拠した無線LAN接続インタフェースを備え、アクセスポイント１０７を介してネットワーク１０１に接続されたホスト１０２と通信することができる。さらにIEEE802.11i標準に準拠しており、通信相手とのセキュアな通信が可能である。属する仮想LANはVLAN1である。
【００１８】
PC１０６は、PC１０４やPC１０５と同様の携帯型PCである。しかしながらPC１０４、PC１０５が属する仮想LANとは別のVLAN2に属している。
【００１９】
アクセスポイント１０７はIEEE802.3標準に準拠するネットワーク接続インタフェースとIEEE802.11標準に準拠する無線LAN接続インタフェースの両方を備え、ネットワーク１０１上に接続された通信装置と無線LANに参加している通信装置との間の通信を中継する機能を有する。また、IEEE802.3標準の有線LAN側にはIEEE802.1Q標準に準拠したVLAN機能を提供し、ネットワーク１０１上に設定された仮想LAN（VLAN1、VLAN2）を分けて通信することができる。IEEE802.11標準に準拠する無線LAN側にはIEEE802.11i標準に規定されたセキュリティ機能を提供する。ネットワーク１０１上でマルチキャスト／ブロードキャストが送信された場合、その通信装置が属する仮想LANに応じて宛先MACアドレスを使い分けるようにする。そしてこの宛先MACアドレスに対応する暗号処理を施して無線LAN側に転送する。
【００２０】
上記のように仮想LANごとに区別したマルチキャスト／ブロードキャストを示すある宛先MACアドレスをマルチキャスト／ブロードキャストと認識させることにより、有線LAN側で運用される仮想LAN別のマルチキャスト／ブロードキャストを、それぞれの仮想LANに属する無線LAN側の通信装置にも同様に伝達することができる。
【００２１】
図２は、IEEE802.3標準に規定されたMACアドレスの構成を示したものである。図２（ａ）は48ビットで示されるMACアドレスの、それぞれの領域の意味を示している。また図２（ｂ）ではマルチキャストアドレスの場合の一般的な例を示している。
【００２２】
図２（ａ）のI/G２０１は、このMACアドレスがIndividual(unicast)かGroup(multicast)のどちらであるかを示すビットである。この値がゼロの場合はIndivisual、つまり個別の宛先を示しているものであり、１の場合はGroup、つまりマルチキャストであることを示している。U/L２０２は、このMACアドレスがUniversal(Global address)かLocal(Private address)のどちらかであるかを示すビットである。この値がゼロの場合はUniversal、つまりMACアドレス本来の意味と同じ、それぞれの通信インタフェース固有に振られたアドレスであることを示している。１の場合はLocal、つまり固有にはならないローカルで運用する場合に限り使用可能なアドレスであることを示している。OUI２０３は、Organizationally Unique Identifierと呼ばれる、製造メーカごとに管理された値を記載する領域である。この値はIEEEが製造メーカに対し固有な値を発番し管理しているもので、製造業者ごとに異なる値を振ることでMACアドレスに重複が起きる可能性を防止する意味がある。DEVICE ID２０４は、OUI２０３で示される製造メーカが製造する通信インタフェースに、その製造メーカが固有になるように発番する値である。OUI２０３が製造メーカごとに固有の値を取る限り、その製造メーカがDEVICE ID２０４に重複を起こさないようにすれば、おのずとMACアドレスは通信インタフェースごとに固有値となる。
【００２３】
図２（ｂ）を見ると、I/G２０１が１、つまりマルチキャストの宛先MACアドレスであることを示している。そしてU/L２０２がゼロ、つまり全世界で管理された固有値であることを示している。このときMACアドレスのマルチキャストについて規定したRFC1112(Request for Comment)によれば製造メーカの固有値が入るべきOUI２０３の領域には0x00005e（固定値）を入れることとなっている。同じくRFC1112ではIPv4の場合のマルチキャストアドレスは23ビットと規定されているため、規定の無いDEVICE ID２０４の最左端のビットはゼロとなっている。そしてその後のビットからMulticast addressが格納される。このときMulticast Addressの部分が所定の値、たとえばDEVICE ID２０４がff:ff:ffであったときはブロードキャストアドレスであると解釈するよう取り決めても構わない。このようにマルチキャストの場合の表記は決まっており、各通信装置はそれぞれの領域の値を見ることでどのようなMACアドレスなのかを判断する。なお図２（ｂ）の値はリトルエンディアンビット表記で示した例である。他の表記方法によれば表記方法も変わる。
【００２４】
図３は本実施形態におけるIEEE802.3標準のマルチキャスト時イーサフレームについて宛先MACアドレスの変換例を示したものである。図３には、IEEE802.3標準に準拠したイーサフレーム３０１、有線LAN側におけるイーサフレーム３０１の宛先MACアドレス領域３０２、無線LAN側におけるイーサフレーム３０１の宛先MACアドレス領域３０３が示されている。図３では各値の表記が図２とは異なるビッグエンディアンビット表記となっているため見かけ上のビット位置が異なることに留意する。
【００２５】
イーサフレーム３０１を見ると、宛先MACアドレス(Destination MAC address)、送信元MACアドレス(Source MAC address)、プロトコルタイプ(Protocol Type：VLAN)、仮想LAN識別(VLAN ID)、プロトコルタイプ(Protocol Type：IPv4)などが示されている。宛先MACアドレスはイーサフレーム３０１の送り先を示すMACアドレスであり、送信元MACアドレスはこれを送信した通信装置のMACアドレスである。次のプロトコルタイプは、イーサフレーム３０１が仮想LANに所属する通信装置から送信されたマルチキャストであることを示し、所属先の仮想LAN識別はVLAN IDに格納された値である。
【００２６】
宛先MACアドレス領域３０２を見ると、図２（ｂ）の時と同様に、I/G：1(Group)、U/L：ゼロ(Universal)、OUI：0x00005e及びIPv4 Multicast Addressビット領域は任意の値となっており通常のマルチキャストのMACアドレスを示している。
【００２７】
一方、無線LAN側の宛先MACアドレス領域３０３を見るとU/L２０２に当たるビットが１(Local)となっており、さらにOUI２０３のビット領域にVLAN IDを記載している。U/L２０２に１を立てることによってローカルのマルチキャストのMACアドレスとして使用できるようになることから、本来OUIを格納すべきOUI２０３にVLAN IDの情報を含めることができる。このように宛先MACアドレスから仮想LANの区別ができることから、宛先MACアドレスごとにセキュリティを設定するIEEE802.11i標準を用いても、従来の標準を変えることなく無線LAN側でも効果的にVLANごとのセキュリティを実現することができる。
【００２８】
図４は、本実施形態におけるIEEE802.3標準のマルチキャスト時イーサフレームの変換例を示したものである。図４には、有線LAN側を流れるマルチキャストのイーサフレーム（ａ）と、無線LAN側へ転送する際のイーサフレーム（ｂ）が示されている。
【００２９】
イーサフレーム（ａ）は、図３に示すイーサフレーム３０１と同様の領域を持っている。マルチキャストであることを示す宛先MACアドレスと、このイーサフレームがVLANであることを示す予め規定されているプロトコルタイプ（0x8100）、仮想LAN識別（0x0001）などを含んでいる。このイーサフレーム（ａ）を無線LAN側に転送する際には、図３に示したように宛先MACアドレスと仮想LAN識別とを組み合わせて変換したのちのMACアドレス（03:00:01:00:00:01）を宛先MACアドレスとしている。またIEEE802.1Q標準には現在のところ規格上仮想LANは考慮されていないのでVLANであることを示す、不要なプロトコルタイプ（VLAN）領域と、宛先MACアドレスに統合された仮想LAN識別領域を削除し詰めなおす。無線LAN側の通信装置には、イーサフレーム（ａ）の替わりにイーサフレーム（ｂ）が転送される。
【００３０】
図５は、本実施形態におけるアクセスポイント１０７のブロック図の一例を示す図である。図５には有線LAN通信部５０１、転送部５０２、無線LAN通信部５０３、アンテナ５０４、記憶部５０５及びアドレス変換部５０６が示されている。
【００３１】
有線LAN通信部５０１はネットワーク１０１を介してホスト１０２及びホスト１０３を通信する機能を有する。このとき通信インタフェースはIEEE802.3標準に準拠した通信をするものとする。またIEEE802.1Q標準に規定された仮想LAN（VLAN）機能も備えており、１つのネットワーク内に複数の仮想LANを認識して通信することができる。
【００３２】
転送部５０２は、ネットワーク１０１と無線LAN側の通信装置との間でマルチキャスト／ブロードキャストのイーサフレームを転送する機能を有する。このときアドレス変換部５０６の支援を受け、イーサフレームの宛先MACアドレスを変換したものを有線LAN通信部５０１や無線LAN通信部５０３を介して転送する。また必要に応じて図４に示すようなイーサフレームの再構築も行う。
【００３３】
無線LAN通信部５０３は転送部５０２からのイーサフレームの転送指示を受けて、無線LAN側の通信装置と通信する機能を有する。IEEE802.11標準に準拠した通信を行い、またIEEE802.11i標準に規定されたセキュリティの仕組みを備えている。暗号通信に用いられる鍵などの情報は、記憶部５０５から取得する。
【００３４】
アンテナ５０４は、無線LAN通信部５０３と接続され周囲に配置された通信装置が発信する無線LANに使用される電波の送受信を行う。
【００３５】
記憶部５０５は、無線LAN側の通信装置との通信に用いる暗号化のための暗号方式と暗号鍵情報を含む鍵情報テーブル記憶している。記憶するこれらの情報は予め利用者によって入力される。
【００３６】
アドレス変換部５０６は転送部５０２がイーサフレームを転送する際の宛先MACアドレスを変換する機能を有する。具体的には、IEEE802.1Q標準に規定された仮想LAN（VLAN）に基づいて設定されたある仮想LANから、ネットワーク１０１を介してマルチキャスト／ブロードキャストが発信された場合、図３に示すようなイーサフレームの宛先MACアドレス領域の変換をするものである。
【００３７】
図６は、記憶部５０５に記憶された鍵情報テーブル６０１の一例を示す図である。鍵情報テーブルには１つのMACアドレス(MAC address)に対応する暗号方式と鍵情報が記憶されている。ここで言うMACアドレスは個別の通信装置が持つ固有のMACアドレスではなく、マルチキャスト／ブロードキャストのMACアドレスである。つまり転送部５０２からマルチキャスト／ブロードキャストを示すMACアドレス宛にイーサフレームを転送する指示があったときは、無線LAN通信部５０３は記憶部５０５に記憶されたMACアドレスの中から合致するMACアドレスを見つけ出し、暗号方式とその暗号化に使われる鍵情報を求め、これらの情報を用いて暗号化したイーサフレームをそのMACアドレス宛に送信する。鍵情報テーブル６０１のMACアドレスは、図３に示すようなVLAN IDをすでに反映した後のMACアドレスを記憶する。
【００３８】
このように構成すると、有線LAN側で運用する仮想LANごとに異なる無線LAN側のマルチキャスト／ブロードキャストアドレスを、利用者に意識させることなく持つことができ、またその仮想LANごとに異なる暗号方式が設定できる。よってIEEE802.11標準に準拠した有線LAN側でのIEEE802.1Q標準の仮想LANごとのマルチキャスト／ブロードキャスト通信を、IEEE802.11i標準によるセキュリティ機構を用いてシームレスに実現することができる。
【００３９】
（変形例１）
本変形例は、記憶部５０５に記憶した鍵情報テーブル６０１の鍵情報をある種の鍵交換プロトコルにより自動的に設定するためのものである。
【００４０】
鍵を交換するための鍵交換プロトコルは、たとえばIEEE802.1X、IEEE802.11i、WPA(Wi-Fi Protected Access)などが知られている。
【００４１】
図７に本変形例におけるIEEE802.1X標準に規定されたKey Descriptorメッセージに鍵交換情報を追加した一例を示す。この例ではマルチキャストのMACアドレス（MAC address）と鍵情報（Key）の二つの領域を追加している。他の鍵交換プロトコルにおいてもこれら領域の追加は同様に行うことができる。
【００４２】
マルチキャストで用いる無線LAN通信部５０３による鍵の交換タイミングは、たとえば（１）通信装置が接続を求めてきたときの利用者認証の際に通常の鍵交換の一環として行う、あるいは（２）ある通信装置がマルチキャスト宛のイーサフレームを受信したいときにIGMP（Internet Group Management Protocol）の一環として行う場合、とが考えられる。（１）の場合はIEEE802.11iなどの認証及び鍵交換の中でマルチキャスト用の鍵情報を交換する場合が考えられる。（２）の場合はマルチキャスト通信を開始することをさらに上位のプロトコルでマルチキャストグループに参加する手続を行う場合が普通だが、このときにマルチキャスト用の鍵情報も交換することが考えられる。
【００４３】
このように構成すると、IEEE802.11標準に準拠した有線LAN側でのIEEE802.1Q標準の仮想LANごとのマルチキャスト／ブロードキャスト通信を、IEEE802.11i標準によるセキュリティ機構を用いてシームレスかつ自動的に実現することができる。
【００４４】
（変形例２）
本変形例は、記憶部５０５に記憶した鍵情報テーブル９０１の鍵情報をMACアドレスとVLAN IDとに分けて記憶するものである。
【００４５】
図８に本変形例におけるアクセスポイント１０７のブロック図の一例を示す図である。アドレス変換部５０６から延びるラインが無線LAN通信部５０３に接続されている以外は図５と同じである。
【００４６】
図９に本変形例における鍵情報テーブル９０１の一例を示す。アドレス変換部５０６による宛先MACアドレスの変換前の宛先MACアドレスと、仮想LAN別のVLAN IDとの組み合わせで記憶する。この場合には無線LAN通信部５０３が転送部５０２から転送を指示されたイーサフレームの宛先MACアドレスとVLAN IDとから、鍵情報テーブル９０１に記憶されたMACアドレスとVLAN IDの組み合わせを見つけ出し、暗号化方式とその暗号化に鍵情報を求める。そして見つけたMACアドレスとVLAN IDをアドレス変換部５０６の支援を受けてアドレス変換し、求めた鍵情報を用いて暗号化したイーサフレームを変換した後のMACアドレス宛に送信する。
【００４７】
図１０は図７と同様に、IEEE802.1Xに情報を追加した一例だが、この場合はさらにVLAN ID領域も追加している。鍵交換のタイミング、手順については変形例１と同様である。
【００４８】
このように構成すると、IEEE802.11標準に準拠した有線LAN側でのIEEE802.1Q標準の仮想LANごとのマルチキャスト／ブロードキャスト通信を、IEEE802.11i標準によるセキュリティ機構を用いてシームレスかつ自動的に実現することができる。
【００４９】
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【図面の簡単な説明】
【００５０】
【図１】本実施形態における仮想LAN通信システムの一例を示す図である。
【図２】IEEE802.3標準に規定されたMACアドレスの構成を示したものである。
【図３】本実施形態における宛先MACアドレスの変換例を示したものである。
【図４】本実施形態におけるマルチキャスト時イーサフレームの変換例を示したものである。
【図５】本実施形態におけるアクセスポイントのブロック図の一例を示す図である。
【図６】本実施形態における鍵情報テーブルの一例を示す図である。
【図７】変形例１におけるIEEE802.1X標準に規定されたKey Descriptorメッセージに鍵交換情報を追加した一例を示す図である。
【図８】変形例２におけるアクセスポイント１０７のブロック図の一例を示す図である。
【図９】変形例２における鍵情報テーブルの一例を示す図である。
【図１０】変形例２におけるIEEE802.1X標準に規定されたKey Descriptorメッセージに鍵交換情報を追加した一例を示す図である。
【符号の説明】
【００５１】
１０１：ネットワーク
１０２、１０３：ホスト
１０４、１０５、１０６：ＰＣ
５０１：有線ＬＡＮ通信部
５０２：転送部
５０３：無線ＬＡＮ通信部
５０４：アンテナ
５０５：記憶部
５０６：アドレス変換部
６０１、９０１：鍵情報テーブル
【図１】
2006101037.tif 000003
【図２】
2006101037.tif 000004
【図３】
2006101037.tif 000005
【図４】
2006101037.tif 000006
【図５】
2006101037.tif 000007
【図６】
2006101037.tif 000008
【図７】
2006101037.tif 000009
【図８】
2006101037.tif 000010
【図９】
2006101037.tif 000011
【図１０】
2006101037.tif 000012